LDAP 정책

<ph type="x-smartling-placeholder"></ph> 현재 Apigee Edge 문서를 보고 있습니다.
Apigee X 문서. 정보

대상

LDAP 정책은 다음을 제공합니다.

• 인증: 요청에 제공된 사용자 인증 정보가 검증됩니다. 크리덴셜과 대조할 수 있습니다 LDAP 정책은 모든 DN 값을 비밀번호와 함께 사용할 수 있으며, 이는 해당 DN 값이 포함되지 않은 경우일 수 있습니다. 예를 들어 다음 용도로 이메일 / 비밀번호를 사용해야 한다고 가정해 보겠습니다. 있습니다. 다음과 같은 옵션을 사용할 수 있습니다. <ph type="x-smartling-placeholder">
  </ph>
  • 이메일이 요청에 포함된 경우 LDAP용 비밀번호로 사용하면 됩니다. 있습니다.
  • 이메일이 요청에 없지만 다른 DN 속성 (예: 전화번호)이 있는 경우 전화번호를 사용하여 LDAP에서 해당 이메일을 가져온 다음 이메일 / 인증하려면 비밀번호를 입력합니다.
• 고유 이름 (DN) 검색: 인증 외에도 다음 작업을 수행할 수 있습니다. 또한 LDAP 정책을 사용하여 이메일, 해당 사용자에 대한 LDAP의 다른 DN 속성을 검색하는 쿼리를 수행할 수 있습니다. 검색된 DN은 변수 저장에 사용됩니다.

보호된 리소스에 대한 액세스를 LDAP의 사용자로 제한해야 하는 경우 LDAP 정책을 사용합니다. 예를 들어 관리자, 조직 사용자, 개발자와 같은 특정 서비스 제공업체를 이용해 OAuth 토큰 액세스가 불필요하거나 너무 무겁습니다. 이 정책은 또한 API 프록시 흐름에서 사용할 도메인 이름 메타데이터를 가져옵니다.

예를 들어 사용자가 성공적으로 인증된 경우에만 API 호출이 실행되도록 할 수 있습니다. 대조할 수 있습니다. 이후에 사용자에 대한 DN (도메인 이름) 속성을 인증이 성공합니다

자세한 내용은 다음을 참조하세요.

• 관리 API 관리를 위한 기본 LDAP 비밀번호 정책
• '비밀번호 정책에 관한 중요 정보' 를 Apigee 커뮤니티

샘플

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

요소 참조

다음은 LDAP 정책 요소 및 속성에 대한 설명입니다.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

사용 참고사항

프라이빗 클라우드용 Apigee Edge를 사용하면 API 호출에 LDAP 제공업체를 활용할 수 있습니다. LDAP 사용 정책에 따라 애플리케이션이 LDAP에 저장된 사용자에 대해 사용자 인증 정보를 인증할 수 있으며 고유 이름(DN)을 LDAP에서 검색(즉, 이메일, 주소, 전화번호 등의 정보를 제공할 수 있습니다 반환된 DN은 API 프록시에서 추가로 사용됩니다.

LDAP 리소스 만들기

LDAP 정책은 Apigee Edge에서 만든 LDAP 리소스를 활용합니다. LDAP 리소스 LDAP 저장소에 연결 정보를 제공합니다.

LDAP 리소스를 만들고 관리하려면 다음 API와 페이로드를 사용하세요.

API

LDAP 리소스를 생성 (POST)하거나 모든 LDAP 리소스를 나열 (GET)합니다.

/v1/organizations/org_name/environments/environment/ldapresources

LDAP 리소스의 세부정보 (GET), 업데이트 (POST) 및 삭제 (DELETE)를 가져옵니다.

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

페이로드

다음은 사용법 주석이 포함된 샘플 XML 페이로드입니다.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

curl 예: LDAP 리소스 만들기

다음 예에서는 ldap1이라는 LDAP 리소스를 만듭니다.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

응답 코드

다음은 성공 또는 실패에 대해 정책이 반환하는 HTML 응답 코드입니다.

• 성공: 200
• 실패: 401

프라이빗 클라우드용 Edge에서 커스텀 LDAP 제공업체 사용

커스텀 LDAP 제공업체

프라이빗 클라우드용 Apigee Edge에는 이미 클러스터를 사용하도록 구성된 LDAP 제공업체가 함께 제공됩니다. LDAP 정책과 상호작용할 수 있습니다. 하지만 맞춤 LDAP 제공업체를 사용하는 경우 LDAP 정책을 지원해야 합니다. 방법은 다음과 같습니다.

1. LDAP 제공자 클래스에서 ExternalLdapConProvider 인터페이스를 구현합니다.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. 정책 구성의 <LdapConnectorClass> (다음 섹션)에서 맞춤 LDAP 제공자의 정규화된 클래스 이름을 추가합니다.
3. custom-ldap.jar_.zip 파일을 다운로드합니다. 마우스 오른쪽 버튼을 클릭하고 다른 이름으로 저장을 선택해야 할 수도 있습니다.
4. 압축을 풉니다.
5. custom-ldap.jar 파일을 환경에 추가하고 이 파일이 클래스 경로에 있는지 확인합니다.
6. LDAP 제공업체의 환경 리소스를 만듭니다. 이 실습에서는 환경 리소스를 LDAP 정책의 <LdapResource> 요소에 있는 이름.

Java용 UnboundID LDAP SDK

UnboundID LDAP SDK를 LDAP 정책과 함께 사용할 수 있지만 먼저 버전을 다운로드해야 합니다. 각 메시지 프로세서의 클래스 경로에 추가합니다.

UnboundID LDAP SDK를 LDAP 정책과 함께 사용하려면 다음 단계를 따르세요.

1. 브라우저를 열고 UnboundID LDAP SDK의 Sourceforge 파일 저장소로 이동합니다.

   https://sourceforge.net/projects/ldap-sdk/files/

2. SDK 버전 2.3.1 (SE 또는 Standard 버전)을 찾아 ZIP 파일을 다운로드합니다. 확인할 수 있습니다 예를 들어 'unboundid-ldapsdk-2.3.1-se.zip'을 다운로드합니다.
3. 다음 예와 같이 SDK ZIP 파일에서 JAR 파일을 추출합니다.

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   이 명령어는 JAR 파일만 ~/tmp 디렉터리에 추출합니다. 디렉터리를 삭제하고 선택사항이지만 -j를 사용하면 됩니다.

4. 각 메시지 프로세서 노드에서 다음을 수행합니다. <ph type="x-smartling-placeholder">
   </ph>
   1. JAR 파일을 메시지 프로세서 /opt/apigee/edge-gateway/lib/thirdparty 디렉터리에 있습니다.
   2. 필요한 경우 메시지 프로세서가 JAR 파일에 액세스할 수 있도록 Apigee 사용자에게 JAR 파일에 대한 권한을 부여합니다.

   Edge는 /opt/apigee/edge-gateway/lib/thirdparty 디렉터리를 클래스 경로에 추가합니다.

   3. 메시지 프로세서를 다시 시작합니다.

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

흐름 변수

다음은 SearchQuery로 채워진 LDAP 정책 변수입니다.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

오류 코드

Edge 정책에서 반환된 오류는 오류 코드 참조에 설명된 대로 일관된 형식을 따릅니다.

이 정책은 다음 오류 코드를 사용합니다.